สรุปสั้น

ผู้ต้องสงสัยรายที่ 3 ในคดีกลุ่มขู่กรรโชก ShinyHunters ซึ่ง FBI จับกุมในสหรัฐฯ เมื่อสัปดาห์ก่อน (ดูโพสต์ 2026/10/063 ) ถูกระบุตัวโดยหนังสือพิมพ์ The New York Times และนาย Brian Krebs บล็อกเกอร์ด้านความปลอดภัยไซเบอร์ ว่าคือนาย Edward Dubrovsky ผู้เชี่ยวชาญชาวแคนาดาที่ทำงานด้านรับมือเหตุแรนซัมแวร์และเจรจาค่าไถ่ เขามีความเกี่ยวข้องกับบริษัท CyberSteward ในโตรอนโตที่ให้บริการเจรจาค่าไถ่ และเป็นผู้เขียนหนังสือ “Cyber Extortion: Strategic Response” เขาถูกจับหลังเดินทางมาร่วมงานประชุมที่ฟิลาเดลเฟีย และถูกสงสัยว่าเกี่ยวข้องกับการเจาะระบบของ FBI ที่ ShinyHunters อ้างผลงานเมื่อเดือนกันยายน

เอกสารศาลซึ่งสะกดชื่อเขาว่า Dobrovsky ระบุว่าเขาถูกตั้งข้อหาสมคบกันขู่ทำลายความลับของข้อมูลเพื่อเรียกเงิน และข้อหาขัดขวางการค้าด้วยการข่มขู่ คดีถูกย้ายไปศาลแขวงตะวันออกของรัฐเท็กซัส ซึ่งเป็นที่ตั้งทีมสอบสวน ShinyHunters ของ FBI ประเด็นที่ทำให้คดีนี้สะเทือนวงการคือแหล่งข่าวของ Krebs ระบุว่าผู้บริหารบริษัทให้บริการเจรจาค่าไถ่รายอื่นอาจถูกตั้งข้อหาในคดีเดียวกัน ซึ่งหากเป็นจริงจะหมายความว่าคนที่องค์กรเหยื่อจ้างมาช่วยรับมือการรีดไถ อาจเป็นฝ่ายเดียวกับผู้รีดไถเอง ทั้งนี้ยังเป็นเพียงข้อกล่าวหา ศาลยังไม่ได้ตัดสิน

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 12 ตุลาคม 2569 ว่านาย Kash Patel ผู้อำนวยการ FBI ประกาศเมื่อวันศุกร์ว่าเจ้าหน้าที่จับกุมผู้ต้องสงสัยร่วมขบวนการ ShinyHunters ได้อีกราย พร้อมระบุว่านี่คือการจับกุมล่าสุดในเวลาไม่กี่วันที่เกี่ยวข้องกับเครือข่ายนี้ และ FBI จะทำงานร่วมกับพันธมิตรต่อเนื่องเพื่อทำลายสิ่งที่เหลืออยู่ของกลุ่ม ShinyHunters และผู้ร่วมขบวนการ ไม่ว่าจะปฏิบัติการจากที่ใด

FBI ยังไม่ได้เปิดเผยชื่อผู้ต้องสงสัยอย่างเป็นทางการ แต่ The New York Times และนาย Krebs รายงานว่าคือนาย Edward Dubrovsky ส่วนตำรวจม้าแคนาดา (RCMP) ยืนยันกับ CBS News ว่ารับทราบการจับกุมพลเมืองแคนาดาในสหรัฐฯ ที่เกี่ยวข้องกับ ShinyHunters โปรไฟล์ LinkedIn ของนาย Dubrovsky ระบุว่าเขาเคยเป็นผู้บริหารในบริษัทความปลอดภัยไซเบอร์ในอเมริกาเหนือ 2-3 แห่งในช่วงไม่กี่ปีที่ผ่านมา

Dark Reading และ Security Affairs รายงานเพิ่มเติมโดยอ้าง Reuters ว่านาย Dubrovsky อายุ 54 ปี ถูกจับเมื่อวันที่ 8 ตุลาคม ข้อหาแรกเป็นความผิดตามมาตรา 18 U.S.C. § 1030(a)(7)(B) ของกฎหมาย Computer Fraud and Abuse Act (CFAA) เขาเคยเป็นผู้บริหารของบริษัท Cypfer ผู้ให้บริการรับมือเหตุ ระหว่างปี 2565 ถึงปลายปี 2568 เป็นกรรมการที่ปรึกษาของ FileFlex ผู้ขายผลิตภัณฑ์ Zero Trust และเคยให้สัมภาษณ์สื่อด้านความปลอดภัยรวมถึง Dark Reading เป็นประจำ ทั้ง Cypfer, CyberSteward และ Qnext บริษัทแม่ของ FileFlex ยังไม่ตอบคำถามสื่อ ขณะที่เอกสารศาลยังสะกดนามสกุลไม่ตรงกัน (Dobrovsky/Dobrosky) และไม่ระบุอายุ อาชีพ หรือนายจ้าง ส่วน Reuters ติดต่อตัวเขาและทนายความไม่ได้ และตามข้อมูลของ Krebs ณ ขณะนั้นยังไม่มีทนายความในบันทึกคดี

ShinyHunters อ้างว่าเจาะเว็บไซต์รับสมัครงานของ FBI และระบบอื่น ได้ข้อมูลของเจ้าหน้าที่และผู้สมัครงานเกือบทั้งหมด กลุ่มอ้างว่าทำไปเพื่อตอบโต้รายงานที่ FBI เผยแพร่เมื่อต้นปีเตือนองค์กรเกี่ยวกับกิจกรรมของ ShinyHunters ฝั่ง FBI ระบุว่าการบุกรุกเกิดจากผู้รับเหมาไม่ติดตั้งแพตช์ซอฟต์แวร์ Oracle PeopleSoft ที่มีช่องโหว่

นี่คือผู้ต้องสงสัยรายที่ 3 ที่ถูกจับในช่วงไม่กี่สัปดาห์ รายแรกถูกจับที่เนเธอร์แลนด์เมื่อวันที่ 15 กันยายน รายที่สองถูกจับที่จอร์แดนช่วงปลายเดือนกันยายน (SecurityWeek ระบุวันที่ 28 กันยายน) และมีรายงานว่ากำลังให้ความร่วมมือกับ FBI

ช่วงปลายเดือนกันยายน ShinyHunters ยังแสดงท่าทีท้าทาย โดยอ้างว่าปฏิบัติการและโครงสร้างพื้นฐานไม่ได้รับผลกระทบ และเร่งให้เหยื่อจ่ายเงิน แต่ภายหลังข้อความที่ส่งถึง FBI และเหยื่อถูกลบออกจากเว็บไซต์บนเครือข่าย Tor ของกลุ่ม และขณะที่ SecurityWeek เขียนข่าว เว็บไซต์ดังกล่าวเข้าไม่ได้แล้ว

วิธีการโจมตีและข้อกล่าวหา

ข้อหาที่นาย Dobrovsky ถูกตั้งตามเอกสารศาลมี 2 ข้อ คือ สมคบกันขู่ทำลายความลับของข้อมูลโดยมีเจตนาเรียกเงิน ซึ่งเป็นความผิดตามกฎหมายการฉ้อโกงและใช้คอมพิวเตอร์ในทางมิชอบของสหรัฐฯ ที่ใช้กับการขู่ปล่อยข้อมูลที่ขโมยมา และข้อหาขัดขวางการค้าด้วยการข่มขู่ ซึ่งเป็นฐานความผิดทั่วไปของการขู่กรรโชกที่กระทบธุรกิจ ทั้งสองข้อตรงกับรูปแบบปฏิบัติการของ ShinyHunters ที่ขโมยข้อมูลจากแพลตฟอร์ม SaaS และระบบองค์กร แล้วขู่ปล่อยข้อมูลเพื่อเรียกค่าไถ่ แทนการเข้ารหัสไฟล์แบบแรนซัมแวร์ดั้งเดิม

เอกสารที่เปิดเผยยังไม่ระบุว่านาย Dobrovsky มีบทบาทใดในกลุ่ม เช่น เป็นผู้เจาะระบบ ผู้เจรจากับเหยื่อ หรือผู้รับเงิน และยังไม่มีรายละเอียดว่าเขาเกี่ยวข้องกับการเจาะระบบ FBI โดยตรงอย่างไร นอกจากที่สื่อรายงานว่าเขาถูกสงสัยในเหตุนั้น ข้อมูลส่วนนี้จึงยังมีน้อย และต้องรอเอกสารฟ้องฉบับเต็มหรือการพิจารณาคดี

สิ่งที่ทำให้คดีนี้ต่างจากการจับกุมสองครั้งก่อนคือสถานะของผู้ต้องสงสัย ผู้ให้บริการเจรจาค่าไถ่อยู่ในตำแหน่งที่เห็นข้อมูลอ่อนไหวที่สุดของเหยื่อ ได้แก่ ขอบเขตข้อมูลที่ถูกขโมย วงเงินที่องค์กรยอมจ่าย สถานะประกันภัยไซเบอร์ และจุดอ่อนในการตัดสินใจของผู้บริหาร หากคนในตำแหน่งนี้ร่วมมือกับผู้รีดไถ ข้อมูลดังกล่าวสามารถใช้กดดันเหยื่อหรือตั้งค่าไถ่ให้สูงที่สุดที่เหยื่อจะจ่ายได้ ทั้งนี้ข้อสันนิษฐานนี้ยังไม่ใช่ข้อกล่าวหาที่ปรากฏในเอกสารศาล

ไม่ใช่คดีแรกของวงการเจรจาค่าไถ่

Dark Reading ชี้ว่านาย Dubrovsky ไม่ใช่ผู้เจรจาค่าไถ่รายแรกที่ถูกดำเนินคดีจากงานของตัวเอง ในสัปดาห์เดียวกัน สำนักงานอัยการสหรัฐฯ เขตตะวันออกของนิวยอร์กฟ้องนาย Zohar Pinhasi เจ้าของบริษัท MonsterCloud ผู้ให้บริการกู้ระบบจากแรนซัมแวร์ ในข้อหาฉ้อโกงทางสายโทรคมนาคม (wire fraud) โดยกล่าวหาว่าเขาอ้างกับลูกค้าว่าถอดรหัสไฟล์ได้โดยไม่ต้องจ่ายค่าไถ่ แต่แท้จริงแล้วแอบจ่ายเงินให้คนร้ายเอง แล้วเรียกเก็บจากลูกค้าในราคาที่บวกเพิ่มสูง ส่วนอีกคดีหนึ่ง นาย Angelo Martino ผู้เจรจาค่าไถ่ รับสารภาพว่ามีความผิดฐานส่งรายละเอียดของลูกค้าให้กลุ่มแรนซัมแวร์ BlackCat เพื่อแลกกับเงิน

นาย Jeff Wichman ผู้อำนวยการอาวุโสด้านการเตรียมพร้อมและรับมือการเจาะระบบของบริษัท Semperis ให้ความเห็นว่าเหตุเหล่านี้น่าจะกดดันให้บริษัทเจรจาค่าไถ่ต้องเข้มงวดเรื่องการตรวจประวัติพนักงานมากขึ้น และจะถูกบริษัทประกันภัยไซเบอร์ซึ่งเป็นผู้ส่งงานให้ตรวจสอบหนักขึ้นด้วย ขณะที่ FBI ระบุว่า ShinyHunters รีดไถเงินได้กว่า 70 ล้านดอลลาร์ในปีนี้ ส่วนบันทึกศาลแสดงว่าในการปรากฏตัวต่อศาลครั้งแรก นาย Dubrovsky มีทนายจากสำนักงาน Federal Defenders เป็นผู้แทน

ข้อสังเกตเพิ่มเติมจากนาย Krebs คืองาน Cyber Risk Summit ที่ฟิลาเดลเฟียซึ่งนาย Dubrovsky เดินทางมาร่วม จัดระหว่างวันที่ 5–7 ตุลาคม และผู้สนับสนุนรายใหญ่ที่สุดของงานคือบริษัท Cypfer ที่เขาเคยเป็นผู้ร่วมก่อตั้ง โดยเขาโพสต์บน LinkedIn ราวหนึ่งเดือนก่อนว่าจะมาร่วมงานพร้อมทีม CyberSteward

ผลกระทบ

ผลกระทบต่อ ShinyHunters คือแรงกดดันที่เพิ่มขึ้นต่อเนื่อง การจับกุม 3 ครั้งใน 3 ประเทศภายในราวหนึ่งเดือน ผู้ต้องสงสัยหนึ่งรายให้ความร่วมมือกับ FBI และเว็บไซต์ปล่อยข้อมูลของกลุ่มเข้าไม่ได้ แสดงว่าการสอบสวนกำลังขยายวงจากผู้ปฏิบัติการไปสู่เครือข่ายที่อยู่รอบตัวกลุ่ม

ผลกระทบที่กว้างกว่าตกอยู่กับอุตสาหกรรมรับมือเหตุแรนซัมแวร์และการเจรจาค่าไถ่ ซึ่งองค์กรจำนวนมากพึ่งพาผ่านบริษัทประกันภัยไซเบอร์หรือบริษัทกฎหมาย หากผู้บริหารบริษัทเจรจาค่าไถ่รายอื่นถูกตั้งข้อหาตามที่แหล่งข่าวระบุ ความน่าเชื่อถือของวงการนี้จะถูกตั้งคำถาม และองค์กรที่เคยใช้บริการเจรจาในเหตุที่เกี่ยวกับ ShinyHunters อาจต้องทบทวนว่าข้อมูลที่ส่งให้ผู้เจรจาถูกส่งต่อไปที่ใด ก่อนหน้านี้วงการนี้เคยมีคดีผู้ให้บริการกู้ข้อมูลที่แอบจ่ายค่าไถ่แล้วบวกราคาเรียกเก็บจากเหยื่อมาแล้ว คดีนี้หากพิสูจน์ได้จะเป็นขั้นที่ร้ายแรงกว่า คือผู้เจรจาเป็นส่วนหนึ่งของผู้รีดไถเอง

คำแนะนำ

  • ก่อนว่าจ้างผู้เจรจาค่าไถ่หรือทีมรับมือเหตุภายนอก ให้ตรวจประวัติบริษัทและตัวบุคคลที่จะเข้าถึงข้อมูลเหตุการณ์ ไม่ใช่เพียงรับรายชื่อจากบริษัทประกันภัยแล้วจ้างทันที
  • ทำสัญญากำหนดขอบเขตข้อมูลที่ผู้เจรจาเข้าถึงได้ ห้ามส่งต่อข้อมูล และให้รายงานช่องทางสื่อสารกับผู้โจมตีทั้งหมดให้องค์กรเห็น
  • แยกข้อมูลอ่อนไหวทางธุรกิจ เช่น วงเงินสูงสุดที่ยอมจ่ายหรือรายละเอียดกรมธรรม์ ออกจากข้อมูลที่ต้องแชร์กับผู้เจรจา และให้ผู้บริหารขององค์กรเป็นผู้ตัดสินใจขั้นสุดท้ายเสมอ
  • องค์กรที่เคยถูก ShinyHunters รีดไถและใช้บริการเจรจาภายนอก ควรทบทวนบันทึกการเจรจาและติดต่อหน่วยงานบังคับใช้กฎหมาย หากพบความผิดปกติ เช่น ผู้โจมตีรู้ข้อมูลที่แชร์เฉพาะกับผู้เจรจา
  • ผู้ใช้ Oracle PeopleSoft ควรเช็กว่าติดตั้งแพตช์ครบ และตรวจระบบที่ผู้รับเหมาภายนอกเป็นผู้ดูแล เพราะเป็นจุดที่ FBI ระบุว่าเป็นต้นเหตุของการบุกรุกครั้งนี้

แหล่งอ้างอิง